Malgré les notes stellaires, chaque meilleure entreprise a subi des cyberattaques indirectes, exposant des risques écosystèmes cachés.
Toutes les meilleures sociétés de Singapour ont récemment subi des cyberattaques grâce à des violations tierces, malgré des notes de cybersécurité élevées.
Selon un rapport SecurityScoreCard, 91% des 100 meilleures sociétés de Singapour (par capitalisation boursière) ont obtenu une note de qualité A, mais chacune d’entre elles a subi des infractions à la chaîne d’approvisionnement au cours de la dernière année.
« Chaque grande entreprise de Singapour est affectée par des risques qu’ils ne contrôlent pas directement », a déclaré Ryan Sherstobitoff, directeur du renseignement de l’unité de recherche sur les grève de SecurityScorecard. «Alors que les acteurs de la menace deviennent plus sophistiqués et d’approvisionnement des chaînes plus complexes, la résilience de la cybersécurité nécessite une vigilance constante dans toutes les relations numériques – que ce soit directement, tiers ou quatrième. Le coût du retard est tout simplement trop élevé.»
La recherche a révélé que seulement 5% des entreprises ont subi une violation directe de l’année dernière, le plus souvent par le biais de logiciels malveillants.
Le problème du quatrième parti que personne n’a vu venir
La revue 2025 de SecurityScoreCard a révélé que 100% des 100 meilleures entreprises ayant au moins un fournisseur tiers compromis dans leur chaîne d’approvisionnement numérique. Malgré Singapour avec l’un des taux les plus bas de mauvais cyber-hygiène interne, seulement 4% avaient une note C ou moins, ces infractions à l’écosystème prolongé continuent de frapper fort.
Les risques de quatrième partie proviennent des vendeurs utilisés par les fournisseurs d’une organisation, souvent invisibles mais tout aussi critiques. La violation de Moveit à partir de 2023 l’a rendu clair, où un défaut dans un outil de transfert de fichiers utilisé par les fournisseurs tiers a conduit à des retombées généralisées, frappant les entreprises sans lien direct avec le logiciel. L’incident a montré comment les lacunes de la chaîne d’approvisionnement cachées peuvent causer des dommages très réels.
« La cyber-résilience n’est plus un avantage concurrentiel, c’est un impératif commercial », a déclaré Sherstobitoff. « La responsabilité ne sera pas facultative en 2025. »
Les plus performants de Singapour dans les cotes de cybersécurité, avec 100% de notes, étaient l’agriculture, l’énergie et les soins de santé, a ajouté le rapport. Le secteur financier a suivi de près, avec 90% évalué A, surpassant les 39% de l’Europe. Pourtant, aucun de ces élèves ne pourrait réellement éviter les enchevêtrements de la chaîne d’approvisionnement. Le secteur de la technologie a déclaré le taux de violation directe le plus élevé de 40%, contre une moyenne de 5% dans tous les domaines.
La recherche a représenté une période du 24 juin 2024 au 24 juin 2025, examinant la cyber-performance des 100 meilleures sociétés cotées en bourse à Singapour, qui, bien que non directement nommées dans le rapport, comprend probablement des acteurs majeurs comme DBS Group Holdings, Sea Ltd, OCBC Bank, Singtel et United Overseas Bank (UOB).
Singapour fait face à des menaces ciblées
Au-delà de l’exposition statistique, Singapour est également confrontée à des campagnes ciblées contre son infrastructure critique. L’une de ces opérations Involte le groupe de menaces liées en Chine UNC3886, a récemment observé des vulnérabilités d’exploitation dans les routeurs Juniper (Junos OS) pour infiltrer les réseaux de télécommunications et de prestataires de services.
Gilad Maizles, chercheur à menace chez SecurityScorecard, a déclaré: « La campagne semble être exploitée par le biais d’un réseau China-Nexus Orb connu sous le nom de Gobrat Orb. » Les réseaux de relais opérationnels (ORB) agissent comme des couches d’infrastructure furtives, permettant aux attaquants de relayer l’activité malveillante à travers un maillage de systèmes compromis, ce qui rend les attaques persistantes et évasives.
«Le ciblage des infrastructures critiques à Singapour est un exemple clair de la façon dont les acteurs des menaces alignés par la Chine se déplacent vers une infrastructure à base d’orbe pour obscurcir l’attribution et permettent un accès durable à travers des cibles régionales de grande valeur», explique Maizles. Il a également noté les parallèles avec Volt Typhoon, une campagne d’espionnage similaire visant l’infrastructure américaine, suggérant un changement coordonné vers des tactiques de prépositionnement.
Pour répondre à ces risques systémiques, le rapport SecurityScoreCard recommande un passage des évaluations réactives aux métriques et flux de travail de résilience proactive. Il s’agit notamment de l’atténuation de l’exposition aux quatrième parties grâce à des programmes de gestion des risques tiers, de l’intégration de l’intelligence des menaces à travers les écosystèmes, de la cartographie des risques des fournisseurs et de l’esquisse des flux de travail de réponse aux incidents de la chaîne d’approvisionnement et de la mise en œuvre de l’authentification et de la gestion des patchs sécurisés et de durcissement.
